FreeRTOS 獲得 SESIP 3 級(jí)認(rèn)證

微信公眾號(hào) | 嵌入式專欄

FreeRTOS 目前的用戶群體已經(jīng)非常大了，但在認(rèn)證這一塊，F(xiàn)reeRTOS 其實(shí)相對(duì)來(lái)說(shuō)不算多。最近，F(xiàn)reeRTOS 獲得了 SESIP 3 級(jí)認(rèn)證，可以說(shuō)又給FreeRTOS增色添彩了。

關(guān)于?SESIP 認(rèn)證

SESIP：Security Evaluation Standard for IoT Platforms，物聯(lián)網(wǎng)平臺(tái)安全評(píng)估標(biāo)準(zhǔn)。

目前最新版是V1.2版：https://globalplatform.org/specs-library/SESIP-Methodology/

SESIP? 認(rèn)證有五個(gè)安全級(jí)別，范圍從 1 到 5。隨著安全級(jí)別的提高，安全水平也會(huì)增加測(cè)試的復(fù)雜性和難度系數(shù)。

SESIP3 是 IoT 平臺(tái)（部分）的重要安全級(jí)別。它提供的安全級(jí)別是要求評(píng)估員進(jìn)行全面的源代碼分析、漏洞分析。SESIP3 是白盒（透明）測(cè)試，而不是像SESIP2在沒有開發(fā)人員幫助的情況下執(zhí)行的黑盒測(cè)試。

SESIP2 vs SESIP3 評(píng)估范圍和深度：SESIP2：涉及更有限的安全評(píng)估，側(cè)重于評(píng)估目標(biāo) （TOE） 安全功能。SESIP3：需要更全面、更深入的安全分析，包括 TOE 的完整功能規(guī)范、實(shí)施細(xì)節(jié)和指導(dǎo)文檔。

攻擊抗性：SESIP2：評(píng)估對(duì) Basic 攻擊潛力的抵抗力。SESIP3：評(píng)估對(duì) Enhanced-Basic 攻擊潛力的抵抗力，這是一種更高級(jí)別的復(fù)雜程度。

開發(fā)環(huán)境控件：SESIP2：對(duì) TOE 的開發(fā)環(huán)境要求最低。SESIP3：要求為安全開發(fā)環(huán)境提供更強(qiáng)大的控制和證據(jù)。

配置管理：SESIP2：對(duì)配置管理有基本要求。SESIP3：需要更廣泛的配置管理實(shí)踐，包括自動(dòng)化，以確保 TOE 的完整性。

總之，SESIP3 提供了更嚴(yán)格、更全面、更高級(jí)別的安全保證，使其適用于安全性要求更高的 IoT 和嵌入式產(chǎn)品。

FreeRTOS 獲得 SESIP 3 級(jí)認(rèn)證

FreeRTOS獲得 SESIP 3 級(jí)證書認(rèn)證的組件包含：FreeRTOS Kernel V10.6.1、FreeRTOS+TCP V3.1.0、corePKCS V3.5.0、OTA Updates V3.4.0、Mbed TLS等。

FreeRTOS ?認(rèn)證的范圍：正常情況下，與 FreeRTOS 捆綁的所有內(nèi)容都有 SESIP 認(rèn)證。尤其對(duì)于 IoT 重要的設(shè)備，當(dāng)應(yīng)用程序用于通信的軟件和硬件堆棧而變得更加復(fù)雜時(shí)建立安全網(wǎng)絡(luò)。這里簡(jiǎn)單來(lái)說(shuō)一下獲得 SESIP 的優(yōu)勢(shì)或好處。

如果我們自己應(yīng)用程序基于（已經(jīng)認(rèn)證的）FreeRTOS組件進(jìn)行認(rèn)證，則認(rèn)證通過(guò)的概率更高（如下圖）：

（FreeRTOS 內(nèi)核獲得認(rèn)證）

反之，如果基于沒有認(rèn)證的組件基礎(chǔ)上，我們進(jìn)行認(rèn)證的話，通過(guò)的概率很低。比如其中一個(gè)組件（FreeRTOS內(nèi)核）修改了，或者沒有認(rèn)證的情況下（如下圖）：（修改FreeRTOS 內(nèi)核，未獲得認(rèn)證）

最后，你認(rèn)為像 FreeRTOS這種RTOS以及組件，有必要認(rèn)證嗎？